米セキュリティニュースサイト「クレブス・オン・セキュリティ」が10月19日付で報じたところによると、米連邦捜査当局は、FBIから高度に機微なデータを盗んだハッキング集団「シャイニーハンターズ（ShinyHunters）」を追う中で、異なる2社のランサムウェア交渉会社の幹部が同集団と異常に近い関係にあった可能性を把握したという。
事案の詳細
クレブス・オン・セキュリティの取材によると、捜査関係者は、米国のコンサルティング会社幹部の少なくとも1人が、シャイニーハンターズの被害者に身代金の支払いを促すウェブサイトの運営に積極的な役割を果たしたとみている。この幹部が関与したとされるサイトは「shinywire[.]com」で、2026年5月3日頃から10月16日まで稼働し、シャイニーハンターズが侵害した約100組織の情報を掲載していた。各掲載情報では、被害者に対し、同集団と連絡を取り支払い条件を協議するよう促していた。
クレブス・オン・セキュリティは、シャイニーハンターズ捜査に関連して、カナダ人のサイバーセキュリティ企業幹部（54歳）が2026年10月9日にFBIに逮捕されたと報じている。また、捜査関係者によると、オランダで逮捕された別の容疑者のSignal上のメッセージには、このカナダ人幹部や米国の大手コンサルティング会社の幹部の少なくとも1人との頻繁なやり取りが記録されていた。これらの幹部は、被害組織自身が侵害を把握する前に、シャイニーハンターズの新たな被害者に関する情報を知っていたことが多かったという。
クレブス・オン・セキュリティは、米国企業名や関与が疑われる幹部の氏名を、現時点では公表していない。報道によると、その企業は1,000人を超えるアソシエートを擁する有力企業だという。
米国企業の幹部はまだ起訴されておらず、関与の有無は捜査段階にある。
日本への影響
今回の焦点は「攻撃者」だけでなく、被害者側を支援するはずの交渉担当者が、攻撃者の恐喝活動に近づきすぎるリスクにある。日本の中小企業でも、インシデント対応を外部のコンサルタントや交渉代行業者に委ねる場面はある。委託先が攻撃者と不適切な関係を持てば、被害情報の扱い、交渉の透明性、通知判断が歪み、復旧や取引先対応が一層困難になり得る。また、シャイニーハンターズは海外組織を含む複数の組織を標的としており、国内企業も海外発の恐喝や情報公開圧力の対象になり得る。
対策・今後の展望
- 委託先の統制を契約で明確化：外部の事故対応・交渉支援を使う場合、連絡経路、記録（誰が何をいつ伝えたか）の保存、再委託の可否、利益相反の申告義務を契約条項に落とし込む。
- 侵害の兆候把握と初動の標準化：公開脅迫サイトやSNSで突然名指しされる前に、ログ保全、影響範囲の一次評価、関係者への報告基準を社内手順として用意する。
- データ公開型恐喝への備え：バックアップだけでなく、個人情報・機微情報の所在把握、暗号化、アクセス権の最小化により「盗まれる前提」の被害縮小を図る。
CSRIからのアドバイス
海外の恐喝グループは国境を越えて被害者を探し、下請け・委託先・海外拠点などサプライチェーン経由で日本企業にも到達する。さらに、外部の交渉・対応支援を使うほど、委託先を起点とした情報の偏りや連絡遅延が波及しやすい。
例えるなら、泥棒に入られた家の「交渉係」が、いつの間にか泥棒の連絡係も兼ねていたようなものだ。つまり被害者側の味方に見える立場でも、情報や判断が攻撃者に有利に流れると、被害が長引きやすい。
まず、事故対応を外部に頼む可能性があるなら、窓口と報告ルール（いつ誰に何を共有するか）を文書で確認する。次に、交渉や調査の連絡は必ず記録し、社内の複数人でレビューできる体制を担当者に伝える。最後に、重要データの保管場所と権限を棚卸しし、不要な共有を今週中に減らす。
参照: Feds Suspect Ransom Negotiator Ran ShinyHunters Extortion Site